Descargado 184 veces
Subido porMiguel Guamán Bravo
Firewall
El documento explica qué es un firewall y cómo funciona. Un firewall es un elemento de hardware o software que controla las comunicaciones entre redes, permitiendo o prohibiendo el tráfico según las políticas de seguridad. Los firewalls operan en puntos de conexión entre redes internas y externas, y también en zonas desmilitarizadas. Existen diferentes tipos de firewall según el nivel en que operan y sus funciones incluyen filtrar paquetes, traducción de direcciones de red, proxy y calidad de servicio.
Más contenido relacionado
Firewall
- 1.
- 2. FIREWALL ¿Qué esun Firewall? FIREWALL “ Cortafuegos” =
- 3. FIREWALL ¿Qué esun Firewall? FIREWALL “ Cortafuegos” =
- 4. FIREWALL ¿Qué esun Firewall? Elemento de hardware o software utilizado en una red de computadoras para controlar las comunicaciones, permitiéndolas o prohibiéndolas según las políticas de seguridad. FIREWALL “ Cortafuegos” =
- 5. FIREWALL ¿Dónde operaun Firewall? Punto de conexión de la red interna con la red exterior Zona Desmilitarizada (DMZ)
- 6. FIREWALL ¿Dónde operaun Firewall? También es frecuente conectar al firewall una tercera red, llamada zona desmilitarizada o DMZ, en la que se ubican los servidores de la organización que deben permanecer accesibles desde la red exterior.
- 7. FIREWALL Tipos de Firewall de capa de red o de filtrado de paquetes personal de capa de aplicación Funciona a nivel de red (nivel 3) de la pila de protocolos (TCP/IP) como filtro de paquetes IP. A este nivel se pueden realizar filtros según los distintos campos de los paquetes IP: dirección IP origen, dirección IP destino. A menudo se permiten filtrados según campos de nivel de transporte (nivel 4) como el puerto origen y destino, o a nivel de enlace de datos (nivel 2) como la dirección MAC Trabaja en el nivel de aplicación (nivel 7), por ejemplo, si se trata de tráfico HTTP se pueden realizar filtrados según la URL a la que se está intentando acceder. En este caso es denominado Proxy . Se instala como software en un computador, filtrando las comunicaciones entre dicho computador y el resto de la red y viceversa.
- 8. FIREWALL Tipos de Firewall De filtrado de paquetes De capa de aplicación OSI MAC IP protocolo + puerto URL de HTTP FISICA ENLACE RED TRANSPORTE SESIÓN PRESENTACIÓN APLICACIÓN
- 9. FIREWALL Funciones posiblesdel Firewall (I) NAT (Network Address Translation) 10.0.0.1 10.0.0.2
- 10. FIREWALL Funciones posiblesdel Firewall (I) NAT (Network Address Translation) 10.0.0.1 10.0.0.2
- 11. FIREWALL Funciones posiblesdel Firewall (I) NAT (Network Address Translation) 10.0.0.1 10.0.0.2
- 12. FIREWALL Funciones posiblesdel Firewall (II) PROXY La información solicitada al exterior es recuperada por el firewall y después enviada al host que la requirió originalmente.
- 13. FIREWALL Funciones posiblesdel Firewall (II) PROXY La información solicitada al exterior es recuperada por el firewall y después enviada al host que la requirió originalmente.
- 14. FIREWALL Funciones posiblesdel Firewall (II) PROXY La información solicitada al exterior es recuperada por el firewall y después enviada al host que la requirió originalmente.
- 15. FIREWALL Funciones posiblesdel Firewall (III) QOS La LAN esta haciendo mucho uso de Intenet via HTTP y el firewall limita la salida para que por ejemplo los usuarios puedan recibir sin problemas su correo HTTP HTTP
- 16. FIREWALL Funciones posiblesdel Firewall (IV) Balanceo de Carga La LAN tiene dos vinculos con internet y el f irewall distribuye la carga entre las dos conexiones. HTTP HTTP
- 17. FIREWALL Limitaciones delFirewall No protege de ataques fuera de su área No protege de espías o usuarios inconscientes No protege de ataques de “ingeniería social” No protege contra ataques posibles en la transferencia de datos, cuando datos son enviados o copiados a un servidor interno y son ejecutados despachando un ataque.
- 18. FIREWALL Implementación Hardwareespecífico configurable o bien una aplicación de software corriendo en una computadora, pero en ambos casos deben existir al menos dos interfaces de comunicaciones (ej: placas de red)
- 19. FIREWALL Implementación Hardwareespecífico configurable o bien una aplicación de software corriendo en una computadora, pero en ambos casos deben existir al menos dos interfaces de comunicaciones (ej: placas de red) REGLAS 1) ACEPTAR 2) DENEGAR
- 20. FIREWALL Implementación Hardwareespecífico configurable o bien una aplicación de software corriendo en una computadora, pero en ambos casos deben existir al menos dos interfaces de comunicaciones (ej: placas de red) IPTABLES (LINUX)
- 21. FIREWALL IPtables IPTablesKernel LINUX = NETFILTER Filtrado de paquetes “ Connection tracking” NAT
- 22. FIREWALL Funcionamiento deIPtables INPUT ... el usuario puede crear tantas como desee. OUTPUT FORWARD regla1 regla2 regla3 ... cadena 1 paquete IP cadenas básicas
- 23. FIREWALL Funcionamiento deIPtables ... enlace a otra cadena regla1 regla2 regla3 ... cadena 1 paquete IP regla1 regla2 regla3 ... cadena 2
- 24. FIREWALL Funcionamiento deIPtables REGLAS condiciones a matchear DESTINO ACCEPT DROP QUEUE RETURN ... cadena definida por usuario
- 25. FIREWALL Funcionamiento deIPtables REGLAS condiciones a matchear DESTINO ACCEPT DROP QUEUE RETURN ... cadena definida por usuario protocolo IP origen IP destino puerto destino puerto origen flags TCP ...
- 26. FIREWALL Funcionamiento deIPtables TABLA ... cadena 1 paquete IP ... cadena 2 . . . ... cadena N
- 27. FIREWALL Funcionamiento deIPtables Hay tres tablas ya incorporadas, cada una de las cuales contiene ciertas cadenas predefinidas : FILTER TABLE NAT TABLE MANGLE TABLE responsable del filtrado cadenas predefinidas INPUT OUTPUT FORWARD responsable de configurar las reglas de reescritura de direcciones o de puertos de los paquetes PREROUTING (DNAT) POSTROUTING (SNAT) OUTPUT (DNAT local) responsable de ajustar las opciones de los paquetes, como por ejemplo la calidad de servicio; contiene todas las cadenas predefinidas posibles.
- 28. FIREWALL Funcionamiento deIPtables
- 29. FIREWALL Ejemplo deIPtables (I) Queremos bloquear todos aquellos paquetes entrantes provenientes de la dirección IP 200.200.200.1. iptables -s 200.200.200.1 No estamos especificando qué hacer con los paquetes. Para esto, se usa el parámetro -j seguido por alguna de estas tres opciones: ACCEPT, DENY o DROP. iptables -s 200.200.200.1 -j DROP Necesitamos también especificar a qué chain o cadena vamos a aplicar esta regla. Para eso está el parámetro -A. iptables -A INPUT -s 200.200.200.1 -j DROP
- 30. FIREWALL Ejemplo deIPtables (II) Si lo que buscamos es que a nuestra computadora le sea imposible comunicarse con la anterior, simplemente cambiaremos el INPUT por el OUTPUT, y el parámetro -s por el -d. iptables -A OUTPUT -d 200.200.200.1 -j DROP Si quisiéramos ignorar sólo las peticiones Telnet provenientes de esa misma IP iptables -A INPUT -s 200.200.200.1 -p tcp --puerto-destino telnet -j DROP Si vamos a usar la computadora como router, deberemos setear la cadena de FORWARD para que también quede en ACCEPT. iptables -P FORWARD ACCEPT
- 31. FIREWALL Implementación (escenario1) REGLAS Todo lo que venga de la red local al Firewall : ACEPTAR Todo lo que venga de una IP domiciliaria al puerto TCP 22 = ACEPTAR Todo lo que venga de la IP domiciliaria del Gerente al puerto TCP 1723 = ACEPTAR Todo lo que venga de la red local al exterior = ENMASCARAR Todo lo que venga del exterior al puerto TCP 1 al 1024 = DENEGAR Todo lo que venga del exterior al puerto TCP 3389 = DENEGAR Todo lo que venga del exterior al puerto UDP 1 al 1024 = DENEGAR ALTERNATIVA: implementar reglas por PROXY a nivel aplicación
- 32. FIREWALL Implementación (escenario2) VPN con túnel IPSEC. Punto a Punto seguro, o política de seguridad anti-intrusos o sniffing (ENCRIPT.) L1 L2 L3 VPN PaP
Notas del editor
- #3 Elemento de hardware o software utilizado en una red de computadoras para controlar las comunicaciones, permitiéndolas o prohibiéndolas según las políticas de red que haya definido la organización responsable de la misma. RFC 2979 : define las características de comportamiento y requerimientos de interoperabilidad. El firewall determina cuáles de los servicios de red pueden ser accesados dentro de ésta por los que están fuera, es decir, quién puede entrar a utilizar los recursos de red pertenecientes a la organización.
- #4 Elemento de hardware o software utilizado en una red de computadoras para controlar las comunicaciones, permitiéndolas o prohibiéndolas según las políticas de red que haya definido la organización responsable de la misma. RFC 2979 : define las características de comportamiento y requerimientos de interoperabilidad. El firewall determina cuáles de los servicios de red pueden ser accesados dentro de ésta por los que están fuera, es decir, quién puede entrar a utilizar los recursos de red pertenecientes a la organización.
- #5 Elemento de hardware o software utilizado en una red de computadoras para controlar las comunicaciones, permitiéndolas o prohibiéndolas según las políticas de red que haya definido la organización responsable de la misma. RFC 2979 : define las características de comportamiento y requerimientos de interoperabilidad. El firewall determina cuáles de los servicios de red pueden ser accesados dentro de ésta por los que están fuera, es decir, quién puede entrar a utilizar los recursos de red pertenecientes a la organización.
- #6 La ubicación habitual de un firewall es el punto de conexión de la red interna de la organización con la red exterior, que normalmente es Internet; de este modo se protege la red interna de intentos de acceso no autorizados desde Internet, que puedan aprovechar vulnerabilidades de los sistemas de la red interna. También es frecuente conectar al firewall una tercera red, llamada zona desmilitarizada o DMZ, en la que se ubican los servidores de la organización que deben permanecer accesibles desde la red exterior.
- #7 También es frecuente conectar al firewall una tercera red, llamada zona desmilitarizada o DMZ, en la que se ubican los servidores de la organización que deben permanecer accesibles desde la red exterior.
- #8 1) de filtrado de paquetes : Funciona a nivel de red (nivel 3) de la pila de protocolos (TCP/IP) como filtro de paquetes IP. A este nivel se pueden realizar filtros según los distintos campos de los paquetes IP: dirección IP origen, dirección IP destino. A menudo se permiten filtrados según campos de nivel de transporte (nivel 4) como el puerto origen y destino, o a nivel de enlace de datos (nivel 2) como la dirección MAC 2) de capa de aplicación: Trabaja en el nivel de aplicación (nivel 7), por ejemplo, si se trata de tráfico HTTP se pueden realizar filtrados según la URL a la que se está intentando acceder. En este caso es denominado Proxy 3) personal : Se instala como software en un computador, filtrando las comunicaciones entre dicho computador y el resto de la red y viceversa.
- #9 1) de filtrado de paquetes : Funciona a nivel de red (nivel 3) de la pila de protocolos (TCP/IP) como filtro de paquetes IP. A este nivel se pueden realizar filtros según los distintos campos de los paquetes IP: dirección IP origen, dirección IP destino. A menudo se permiten filtrados según campos de nivel de transporte (nivel 4) como el puerto origen y destino, o a nivel de enlace de datos (nivel 2) como la dirección MAC 2) de capa de aplicación: Trabaja en el nivel de aplicación (nivel 7), por ejemplo, si se trata de tráfico HTTP se pueden realizar filtrados según la URL a la que se está intentando acceder. En este caso es denominado Proxy 3) personal : Se instala como software en un computador, filtrando las comunicaciones entre dicho computador y el resto de la red y viceversa.
- #10 Enmascaramiento de las IPs de las máquinas locales de la red para que salgan al exterior con una única IP pública.
- #11 Enmascaramiento de las IPs de las máquinas locales de la red para que salgan al exterior con una única IP pública.
- #12 Enmascaramiento de las IPs de las máquinas locales de la red para que salgan al exterior con una única IP pública.
- #13 El cliente, en vez de solicitar el documento al servidor lo solicita al Proxy Luego el Proxy lo solicita al servidor. Típico en el caso de servicio Web.
- #14 El cliente, en vez de solicitar el documento al servidor lo solicita al Proxy Luego el Proxy lo solicita al servidor. Típico en el caso de servicio Web. El proxy puede guardar en cache los documentos que ha obtenido por solicitudes anteriores. Cuando le llega una nueva petición busca el documento en la cache.
- #15 El cliente, en vez de solicitar el documento al servidor lo solicita al Proxy Luego el Proxy lo solicita al servidor. Típico en el caso de servicio Web. El proxy puede guardar en cache los documentos que ha obtenido por solicitudes anteriores. Cuando le llega una nueva petición busca el documento en la cache.
- #18 Un firewall correctamente configurado añade protección a una instalación informática, pero en ningún caso debe considerarse como suficiente. La Seguridad Informática abarca más ámbitos y más niveles de trabajo y protección.
- #20 1) ACEPTAR. Todo lo que entra y sale por el firewall se acepta y sólo se denegará lo que se le pida explícitamente . 2) DENEGAR. Todo está denegado, y sólo se permitirá pasar por el firewall aquello que se le pida explícitamente
- #22 O también llamado Netfilter es el conjunto de hooks dentro del núcleo Linux que intercepta y manipula paquetes de red. El componente más conocido construido encima de netfilter es el firewall que filtra paquetes, pero los hooks son también usados por un componente que realiza traducción de direcciones de red (NAT) y por cualquier otro que provea compatibilidad hacia atrás con ipchains . Estos componentes son generalmente módulos de kernel. Iptables es el nombre de la herramienta del espacio de usuario por medio de la cual el administrador crea reglas para filtrado de paquetes y para hacer NAT. Aunque que iptables es técnicamente sólo la herramienta que controla el filtrado de paquetes y los componentes de NAT dentro del kernel, el nombre iptables se utiliza muchas veces para referirse a toda la infraestructura, incluyendo a netfilter , connection tracking (seguimiento de conexiones) y NAT, como también a la herramienta propiamente dicha. iptables es una parte estándar de todas las distribuciones de Linux actuales.
- #23 Las reglas se agrupan en cadenas. Una cadena es un conjunto de reglas para paquetes IP, que determinan lo que se debe hacer con ellos. Cada regla puede desechar el paquete de la cadena, con lo cual otras cadenas no serán consideradas. Una cadena puede contener un enlace a otra cadena: si el paquete pasa a través de esa cadena entera o si matchea una regla de destino de retorno, va a continuar en la primera cadena. No hay un limite respecto de cuán anidadas pueden estar las cadenas. Hay tres cadenas básicas : INPUT, OUTPUT, FORWARD
- #24 Las reglas se agrupan en cadenas. Una cadena es un conjunto de reglas para paquetes IP, que determinan lo que se debe hacer con ellos. Cada regla puede desechar el paquete de la cadena, con lo cual otras cadenas no serán consideradas. Una cadena puede contener un enlace a otra cadena: si el paquete pasa a través de esa cadena entera o si matchea una regla de destino de retorno, va a continuar en la primera cadena. No hay un limite respecto de cuán anidadas pueden estar las cadenas. Hay tres cadenas básicas : INPUT, OUTPUT, FORWARD
- #25 ACCEPT Este destino hace que netfilter acepte el paquete. El significado de esto depende de cuál sea la cedena realizando esta aceptación. De hecho, a un paquete que se lo acepta en la cadena de ENTRADA se le permite ser recibido por la terminal ( host ), a un paquete que se lo acepta en la cadena de SALIDA se le permite abandonar la terminal y a un paquete que se lo acepta en la cadena de REDIRECCIÓN se le permite ser ruteado a través de la terminal. DROP (descartar) Este destino hace que netfilter descarte el paquete sin ningún otro tipo de procesamiento. El paquete simplemente desaparece sin indicación de que fue descartado al ser entregado a la terminal de envio o a una aplicación. Esto se le refleja al que envía, a menudo, como un communication timeout (alcance del máximo tiempo de espera en la comunicación), lo que puede causar confusión (aunque el descarte de paquetes entrantes no deseados se considera a veces una buena política de seguridad, pues no da ni siquiera el indicio a un posible atacante de que la terminal existe). QUEUE (encolar) Este destino hace que el paquete sea enviado a una cola en el espacio de usuario. Una aplicación puede usar la biblioteca libipq, también parte del proyecto netfilter/iptables, para alterar el paquete. Si no hay ninguna aplicación que lea la cola, este destino es equivalente a DROP. RETURN (retorno) Según la documentación oficial de netfilter, este destino tiene el mismo efecto que pasar el final de la cadena: para una regla en una cadena ya incorporada, se ejecuta la política de la cadena. Para una cadena en una cadena definida por el usuario, el recorrido continúa en la cadena anterior, justo después de la regla que hizo saltar a esta cadena OTROS ... REJECT (rechazo) Este destino tiene el mismo efecto que 'DROP', salvo que envía un paquete de error a quien envió originalmente. Se usa principalmente en las cadenas de ENTRADA y de REDIRECCIÓN de la tabla de filtrado. El tipo de paquete se puede controlar a través del parámetro '--reject-with'. Un paquete de rechazo puede indicar explícitamente que la conexión ha sido filtrada (un paquete ICMP filtrado administrativamente por conexión), aunque la mayoría de los usuarios prefieren que el paquete indique simplemente que la computadora no acepta ese tipo de conexión (tal paquete será un paquete tcp-reset para conexiones TPC denegadas, un icpm-port-unreachable para sesiones UDP denegadas o un icmp-protocol-unreachable para paquetes no TCP y no UDP). Si el parámetro '--reject-with' no se especifica, el paquete de rechazo por defecto es siempre icmp-port-unreachable . LOG (bitácora) Este destino lleva un log o bitácora del paquete. Puede usarse en cualquier cadena en cualquier tabla, y muchas veces se usa para debuggear (análisis de fallas, como ser öa verificación de cuales paquetes están siendo descartados). ULOG Este destino lleva un log o bitácora del paquete, pero no de la misma manera que el destino LOG. El destino LOG le envía información al log del núcleo, pero ULOG hace multidifusión de los paquetes que matchean esta regla a través de un socket netlink, de manera que programas del espacio de usuario puedan recibir este paquete conectándose al socket . DNAT Este destino hace que la dirección (y opcionalmente el puerto) de destino del paquete sean reescritos para traducción de dirección de red. Mediante la bandera '--to-destination' debe indicarse el destino a usar. Esto es válido solamente en las cadenas de SALIDA y PRERUTEO dentro de la tabla de nat. Esta decisión se recuerda para todos los paquetes futuros que pertenecen a la misma conexión y las respuestas tendrán su dirección y puerto de origen cambiados al original (es decir, la inversa de este paquete). SNAT Este destino hace que la dirección (y opcionalmente el puerto) de origen del paquete sean reescritos para traducción de dirección de red. Mediante la bandera '--to-source' debe indicarse el origen a usar. Esto es válido solamente en la cadena de POSRUTEO dentro de la tabla de nat y, como DNAT, se recuerda para todos los paquetes que pertenecen a la misma conexión. MASQUERADE Esta es una forma especial, restringida de SNAT para direcciones IP dinámicas, como las que proveen la mayoría de los proveedores de servicios de Internet (ISPs) para modems o línea de abonado digital (DSL). En vez de cambiar la regla de SNAT cada vez que la dirección IP cambia, se calcula la dirección IP de origen a la cual hacer NAT fijándose en la dirección IP de la interfaz de salida cuando un paquete matchea esta regla. Adicionalmente, recuerda cuales conexiones usan MASQUERADE y si la dirección de la interfaz cambia (por ejemplo, por reconectarse al ISP), todas las conexiones que hacen NAT a la dirección vieja se olvidan.
- #26 -p [!] protocol --protocol [!] protocol Matchea paquetes del nombre de protocolo especificado. Si '!' precede el nombre de protocolo, se matchean todos los paquetes que no son el protocolo especificado. Nombres de protocolo válidos son icmp , udp , tcp ... Una lista de todos los protocolos válidos puede encontrarse en el archivo /etc/protocols. -s [!] origen [/ prefijo ] --source [!] origen [/ prefijo ] Matchea paquetes IP vieniendo de la dirección de origen especificada. La dirección de origen puede ser una dirección IP, una dirección IP con un prefijo de red asociado, o un nombre de terminal ( hostname ). Si '!' precede al origen, se matchean todos los paquetes que no vienen del origen especificado. -d [!] destino [/ prefijo ] --destination [!] destino [/ prefijo ] Matchea paquetes IP yendo a la dirección de destino especificada. La dirección de destino puede ser una dirección IP, una dirección IP con un prefijo de red asociado, o un nombre de terminal ( hostname ). Si '!' precede al origen, se matchean todos los paquetes que no van al destino especificado. --destination-port [!] [ puerto [[: puerto ]] --dport [!] [ puerto [[: puerto ]] Matchea paquetes TCP o UDP (dependiendo del argumento a la opción -p ) destinados a los puertos o rango de puertos (cuando se usa la forma puerto : puerto ) especificados. Si '!' precede la especificación de puertos, se matchean todos los paquetes TCP o UDP que no están destinados a los puertos o rango de puertos especificados. --source-port [!] [ puerto [[: puerto ]] --sport [!] [ puerto [[: puerto ]] Matchea paquetes TCP o UDP (dependiendo del argumento a la opción -p ) que vienen de los puertos o rango de puertos (cuando se usa la forma puerto : puerto ) especificados. Si '!' precede la especificación de puertos, se matchean todos los paquetes TCP o UDP que no vienen de los puertos o rango de puertos especificados. --tcp-flags [!] mask comp Matchea paquetes TCP que tienen marcadas o desmarcadas ciertas banderas del protocolo TCP. El primer argumento especifica las banderas a examinar en cada paquete TCP, escritas en una lista separada por comas (no se permiten espacios). El segundo argumento es otra lista separada por comas de banderas que deben estar marcadas dentro de las que se debe examinar. Estas banderas son: SYN, ACK, FIN, RST, URG, PSH, ALL, y NONE. Por lo tanto, la opción " --tcp-flags SYN,ACK,FIN,RST SYN " solo va a matchear paquetes con la bandera SYN marcada y las banderas ACK, FIN y RST desmarcadas. [!] --syn Matchea paquetes TCP que tienen la bandera SYN marcada y las banderas ACK, FIN y RST desmarcadas. Estos paquetes son los que se usan para iniciar conexiones TCP. Al bloquear tales paquetes en la cadena de INPUT, se previenen conexiones TCP entrantes, pero conexiones TCP salientes no serán afectadas. Esta opción puede combinarse con otras, como --source , para bloquear o dejar pasar conexiones TCP entrantes solo de ciertas terminales o redes. Esta opción es equivalente a " --tcp-flags SYN,RST,ACK SYN ". Si '!' precede a --syn , el significado de la opción se invierte.
- #27 Las reglas se agrupan en cadenas. Una cadena es un conjunto de reglas para paquetes IP, que determinan lo que se debe hacer con ellos. Cada regla puede desechar el paquete de la cadena, con lo cual otras cadenas no serán consideradas. Una cadena puede contener un enlace a otra cadena: si el paquete pasa a través de esa cadena entera o si matchea una regla de destino de retorno, va a continuar en la primera cadena. No hay un limite respecto de cuán anidadas pueden estar las cadenas. Hay tres cadenas básicas : INPUT, OUTPUT, FORWARD
- #30 Queremos bloquear todos aquellos paquetes entrantes provenientes de la dirección IP 200.200.200.1. No estamos especificando qué hacer con los paquetes. Para esto, se usa el parámetro -j seguido por alguna de estas tres opciones: ACCEPT, DENY o DROP. Necesitamos también especificar a qué chain o cadena vamos a aplicar esta regla. Para eso está el parámetro -A.
- #31 Si lo que buscamos es que a nuestra computadora le sea imposible comunicarse con la anterior, simplemente cambiaremos el INPUT por el OUTPUT, y el parámetro -s por el -d. Si quisiéramos ignorar sólo las peticiones Telnet provenientes de esa misma IP Si vamos a usar la computadora como router, deberemos setear la cadena de FORWARD para que también quede en ACCEPT.